Eine App hinter dem Firmenlogin zu betreiben heißt: Sie öffnet sich nur, wenn sich jemand mit dem vorhandenen Firmenkonto angemeldet hat, zum Beispiel über Microsoft oder Google. Die App verwaltet dann keine eigenen Passwörter. Für selbst gebaute interne Tools ist das meist die wichtigste Schutzmaßnahme.
Was bedeutet Single Sign-On?
Single Sign-On (SSO) heißt einmaliges Anmelden: Eine Person meldet sich mit einem Firmenkonto an und kann damit mehrere Anwendungen öffnen. Die App fragt nicht selbst nach einem Passwort. Sie schickt die Person zur Anmeldeseite des Firmenkontos, dort wird die Identität geprüft, und die App gewährt den Zugang. Microsoft beschreibt den Ablauf ausführlich.
Der Dienst, der die Konten verwaltet, heißt Identitätsanbieter. Mit „Microsoft Login“ ist meist Microsoft Entra ID gemeint, der Kontodienst hinter Microsoft 365. Das Gegenstück bei Google ist die Anmeldung über Google Workspace. Bindet ihr eine App direkt an, muss sie einen Standard wie OpenID Connect oder SAML unterstützen.
Warum ist ein eigenes Passwort pro Tool ein Problem?
Sobald im Unternehmen mehrere selbst gebaute Apps laufen, werden die Nachteile deutlich:
- Offboarding wird lückenhaft. Verlässt jemand das Unternehmen, muss das Konto in jedem Tool einzeln entfernt werden. Bei Apps, von denen niemand zentral weiß, bleibt der Zugang bestehen.
- Passwörter werden schwächer. Das BSI empfiehlt, jedes Passwort nur für einen einzigen Zugang zu verwenden. Je mehr Tools es gibt, desto eher nutzen Menschen trotzdem dasselbe Passwort oder teilen eines im Team.
- Die App muss Passwörter sicher speichern. Das ist eine zusätzliche Aufgabe mit eigenen Fehlerquellen, dazu kommen Funktionen wie „Passwort vergessen“.
- Zusätzliche Schutzmaßnahmen fehlen. Eine Zwei-Faktor-Anmeldung, die ihr für Firmenkonten eingerichtet habt, gilt nicht für das eigene Passwort eines Tools.
Welche Wege gibt es, eine App hinter den Firmenlogin zu bringen?
Weg 1: Die Anmeldung in die App einbauen
Die App spricht selbst mit dem Identitätsanbieter. Jemand mit Administratorrechten registriert sie dort, und der Code übernimmt die Anmeldung. Claude oder Codex können diesen Code schreiben.
- Vorteil: Die App kennt die Person und kann mit ihrem Namen und ihren Gruppen arbeiten.
- Nachteil: Jede App braucht das einzeln, und Fehler im Code wirken sich direkt auf die Sicherheit aus.
- Passt, wenn ihr eine einzelne App habt und Entwicklungserfahrung im Haus ist.
Weg 2: Die Anmeldung der App vorschalten
Vor die App kommt ein eigener Dienst, der jede Anfrage prüft. Wer nicht angemeldet ist, kommt gar nicht bis zur App.
- Vorteil: Die App selbst muss kaum geändert werden, und die Prüfung ist für mehrere Apps gleich.
- Nachteil: Jemand muss diesen Dienst einrichten, aktuell halten und sicherstellen, dass niemand an ihm vorbei zur App gelangt.
- Passt, wenn ihr mehrere Apps habt und jemand im Haus Server betreibt.
Weg 3: Eine Plattform nutzen, die die Anmeldung mitbringt
Die App läuft auf einer Plattform, bei der die Anmeldung über das Firmenkonto zum Betrieb dazugehört. Die Anbindung wird einmal für das Unternehmen eingerichtet und gilt dann für alle Apps darauf.
- Vorteil: Niemand muss die Anmeldung für jede App neu bauen.
- Nachteil: Ihr verlasst euch auf den Anbieter und seine Arbeitsweise. Prüft, ob ihr Code und Daten mitnehmen könnt.
- Passt, wenn mehrere Personen Apps bauen und ihr den Betrieb nicht selbst aufbauen möchtet.
Worauf müsst ihr trotz Firmenlogin achten?
- Anmeldung und Rechte sind zwei Dinge. Der Login sagt, wer jemand ist. Was die Person in der App sehen darf, muss die App selbst regeln. Prüft das zum Beispiel mit einem zweiten Testkonto.
- Nicht alle Firmenkonten sollten automatisch hinein. Legt fest, ob die App für alle gilt oder nur für bestimmte Gruppen.
- Externe haben kein Firmenkonto. Für einzelne Kunden, Mandanten und Dienstleister braucht ihr einen eigenen Weg, zum Beispiel Gastkonten oder einen Code per E-Mail. Für viele Kunden braucht die App eine eigene Anmeldung.
- Das Firmenkonto wird wichtiger. Es öffnet nun mehrere Apps. Schützt es deshalb mit einem zweiten Faktor.
- Offene Sitzungen enden nicht immer sofort. Fragt nach, wie schnell eine Deaktivierung tatsächlich wirkt.
Wann passt ein Firmenlogin nicht?
Für öffentliche Angebote wie eine Terminbuchung oder ein Kundenkonto ist der Firmenlogin nicht gedacht. Auch wenn ihr gar keinen zentralen Kontodienst nutzt, fehlt die Grundlage. Klärt dann zuerst diese Frage.
Was Auftrieb dabei übernimmt
Auftrieb folgt Weg 3. Die Anmeldung läuft über Google Workspace oder Microsoft Entra, und Auftrieb speichert keine Passwörter eurer Mitarbeitenden. Selbst gebaute Apps sind intern und werden erst öffentlich, wenn das zuständige Team das ausdrücklich bestätigt. Wird ein Firmenkonto deaktiviert, endet der Zugang zu den Apps automatisch. Externe Personen können mit einem E-Mail-Code in eine einzelne interne App kommen. Rechte innerhalb eurer App regelt weiterhin der Code eurer App. Mehr dazu steht auf der Seite Sicherheit.
Stand: November 2026